Informationssicherheit und ihre Schutzziele erklärt

• Vertraulichkeit: Nur autorisierte Personen oder Systeme sollten Zugriff auf Informationen haben. Dies bedeutet, dass der Zugang zu sensiblen Daten auf einen ausgewählten Personenkreis beschränkt sein sollte, beispielsweise bei Personalakten.
• Integrität: Die Integrität der Daten stellt sicher, dass Informationen korrekt, vollständig und unverändert bleiben. Es ist wichtig, dass Daten nicht manipuliert oder verändert werden können, um ihre Zuverlässigkeit zu gewährleisten. Um bei dem Beispiel Personal zu bleiben: Mitarbeitende dürfen nicht befugt sein, Einträge in Akten zu ändern, die nicht ihrem Aufgabenbereich unterliegen.
• Verfügbarkeit: Informationen sollten für autorisierte Personen oder Systeme jederzeit zugänglich sein. Es ist sicherzustellen, dass Daten nicht verloren gehen und stets verfügbar bleiben. Bei unserem Beispiel dürfen Mitarbeitende Einträge aus den Personalakten weder entfernen noch löschen.

• Informationssicherheit: Im Rahmen der Informationssicherheit sind Ihre Daten vor jeder Art von Datenpannen und dem Zugriff durch Unbefugte geschützt – seien es Geschäftsgeheimnisse, Patente, Finanzdaten oder Kundenstämme. Unternehmen brauchen einen 360-Grad-Blick auf die Informationssicherheit. Um Vertraulichkeit, Integrität und Verfügbarkeit der sensiblen Firmen-Insights zu garantieren, sind technische Schutzwälle ebenso unverzichtbar wie Cloud-Back-ups und strikte Zugriffsprozesse. Nur Konzepte, die alle Datenrisiken berücksichtigen, bieten Rechtssicherheit.
• Datenschutz: Der Schutz Ihrer persönlichen Informationen steht heute im Zentrum regulatorischer Bestrebungen. Strenge Gesetze regeln, wie Unternehmen Ihre Daten erheben, speichern, nutzen und weitergeben dürfen. Dies soll sicherstellen, dass Ihre Privatsphäre gewahrt bleibt. Zusätzlich adressieren Datenschutzvorschriften ethische Bedenken und erzwingen bei Unternehmen spezifische Kontrollmechanismen zum Umgang mit ihren Daten. So wird der verantwortungsvolle Umgang mit persönlichen Informationen zur Pflicht, andernfalls drohen empfindliche Sanktionen und Imageschäden. Regulatoren schärfen zusätzlich kontinuierlich die Regeln für den sensiblen Datenbereich – hier sind Unternehmen gefordert, Schritt zu halten und Datenschutz auf die Agenda zu setzen.
• IT-Sicherheit: In Zusammenhang mit IT-Sicherheit sollen in einer vernetzten Welt, in der Cyberbedrohungen an der Tagesordnung sind, Maßnahmen die IT-Infrastruktur von Unternehmen mit höchster Priorität gegen Kriminelle schützen. IT-Security-Lösungen, die möglichst viele Aspekte berücksichtigen, stellen das Überleben der Systeme und die Kontinuität des Geschäftsbetriebs sicher. Dies geschieht zum Beispiel mit Firewalls, Virenschutz, Verschlüsselung und Zugriffskontrollen auf mehreren Ebenen.

• TISAX: Der „Trusted Information Security Assessment Exchange“-Standard dreht sich um die Informationssicherheit in der Automobilindustrie. Entwickelt von der ENX Association, deckt er Themen wie Prototypschutz, Datenschutz und Verbindungssicherheit ab und ist bei vielen großen Automobilherstellern und -zulieferern Pflicht.
• BSI IT-Grundschutz: Organisationen, die den BSI IT-Grundschutz implementieren, können eine Zertifizierung nach BSI-Standard 200-2 und ISO 27001 auf Basis des IT-Grundschutzes anstreben. Diese Zertifizierung, die von unabhängigen Auditor:innen durchgeführt und bestätigt wird, zeigt die Konformität des ISMS mit den Anforderungen des BSI und der ISO.
• ISO 27001:Dabei handelt es sich um den internationalen Standard für Informationssicherheitsmanagementsysteme (ISMS). Mit einer ISO-27001-Zertifizierung beweist ein Unternehmen die Implementierung eines umfassenden ISMS, das proaktiv und systematisch Informationssicherheitsrisiken managt.
• ISO 27002: Dies ist ein Leitfaden für organisatorische Informationssicherheitsstandards und -praktiken. Er unterstützt Unternehmen dabei, Kontrollen auszuwählen, einzuführen und zu verwalten. Dabei berücksichtigt er das individuelle Risikoumfeld.

• Malware: Viren, Würmer, Trojaner und Ransomware können Systeme infizieren, Daten zerstören oder stehlen und erhebliche Schäden verursachen.
• Hacking und Cyber-Kriminalität: Hacker und Cyberkriminelle versuchen, sich unberechtigt Zugang zu Systemen und Daten zu verschaffen, um diese zu stehlen, zu missbrauchen oder zu zerstören.
• Phishing und Social Engineering: Angreifende versuchen durch gefälschte E-Mails, Websites oder Telefonanrufe, Benutzer:innen dazu zu bringen, ihre persönlichen Daten preiszugeben oder Schadsoftware herunterzuladen.
• Menschliche Fehler und Nachlässigkeiten: Vermeintlich leichte Fehler können schwerwiegende Folgen haben – zum Beispiel, schwache Passwörter zu verwenden und Dateien aus unbekannten Quellen zu öffnen.
• Naturkatastrophen und technische Ausfälle: Naturkatastrophen wie Stürme, Überschwemmungen und technische Ausfälle wie Stromausfälle und Serverabstürze gefährden die Informationssicherheit.
• Industriespionage und Wirtschaftskriminalität: Spionage und andere illegale Aktivitäten von der Konkurrenz oder Kriminellen, die Unternehmen schaden.

• Veraltete Software und Hardware: IT-Komponenten, die nicht mehr aktuell sind, können Sicherheitslücken enthalten.
• Cloud-Sicherheit: Daten in der Cloud müssen angemessen geschützt werden.
• Internet der Dinge (IoT): IoT-Geräte können neue Sicherheitsrisiken schaffen, da sie manchmal unzureichend gesichert sind.
• Mobile Geräte: Wenn mobile Geräte wie Smartphones und Tablets verloren gehen oder gestohlen werden, kann dies zu Datenverlust führen.

ISMS

Sicherheitsregelungen im Unternehmen